Cette faille est tellement simple à activer que beaucoup se demandent ce matin comment les développeurs d’Apple ont pu passer à côté. Comme le révèle le chercheur Lemi Ergin sur Twitter, n’importe qui ayant un accès physique à un Mac installé sous macOS High Sierra peut se connecter en tant que compte administrateur (root) avec un mot de passe vide, après avoir cliqué à plusieurs reprises sur le bouton de connexion.
Dear @AppleSupport, we noticed a *HUGE* security issue at MacOS High Sierra. Anyone can login as “root” with empty password after clicking on login button several times. Are you aware of it @Apple?
— Lemi Orhan Ergin (@lemiorhan) 28 novembre 2017
Un accès au compte root en quelques clics en sans mot de passe
Si vous possédez un Mac avec la dernière version de l’OS, la manipulation est très simple. Rendez-vous dans le panneau Utilisateurs et groupes des Préférences système, puis cliquez sur le cadenas qui, lorsqu’il est fermé, empêche les modifications. Entrez ensuite le nom d’utilisateur “root”. Une nouvelle fenêtre flottante devrait alors apparaître et demander de saisir un identifiant. Il suffit alors de taper “root”, et, magie, vous voici administrateur du Mac.
You can access it via System Preferences>Users & Groups>Click the lock to make changes. Then use “root” with no password. And try it for several times. Result is unbelievable! pic.twitter.com/m11qrEvECs
— Lemi Orhan Ergin (@lemiorhan) 28 novembre 2017
Une fois les accès au compte root activés, il est possible d’accéder à « des droits de lecture et d’écriture sur davantage de zones du système, y compris sur des fichiers stockés dans d’autres comptes utilisateur macOS ». Autrement dit, il est possible d’accéder à l’intégralité des fichiers de l’utilisateur du Mac, d’installer des malwares ou de changer les réglages. Le pire étant qu’il est possible de tirer parti de cette faille à distance, en utilisant la fonction d’écran partagé.
Apple promet de corriger rapidement cette faille
Le tweet de Lemi Ergin a rapidement fait le tour des réseaux sociaux et Apple a (pour une fois) rapidement communiqué sur le problème. Le constructeur américain a notamment promis de corriger rapidement le problème en déployant une mise à jour dans les prochaines heures.
Une solution de secours : modifier le mot de passe du compte root
En attendant, il est assez simple de combler soi-même cette faille. Apple a donné une solution de secours à cette adresse. Il suffit pour ce faire de modifier le mot de passe du compte root. Il faut donc se rendre dans Préférences système, puis dans Utilisateurs et groupes (ou Comptes) et de cliquer sur le cadenas. Allez ensuite dans Options d’ouverture de session, cliquez sur Rejoindre (ou Modifier) et ouvrez ensuite l’Utilitaire d’annuaire. Déverrouillez à nouveau le cadenas. Ensuite, dans le menu Édition, cliquez sur Modifier le mot de passe root et saisissez un mot de passe. Plus personne ne sera pas capable d’avoir les accès root à part vous. Ouf.
🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.
La question est : comment cela ce fait qu’un user ROOT existe sans qu’on ne l’ai crée ou défini un mot de passe pour celui-ci ?
Parce que c’est la base de l’administration de tout OS de type UNIX, ce qu’est mac OS/X.
La vraie question est pourquoi, il n’est pas demandé un mot de passe pour root à l’installation, ou pour simplifier pourquoi root n’a pas le mot de passe du premier utilisateur créé. Et surtout pourquoi permettre une connexion sans mot de passe.
Oui, si root est un compte qui existe de base il devrait être celui du 1er utilisateur créé… Du coups je ne comprend pas la technique de l’article qui a l’air de dire qu’on peut définir/modifier le mot de passe Root, qui n’est normalement pas un compte à part entière mais celui du 1ère utilsiateur créé ?
Non root est le compte système. Il doit être différent de celui de l’utilisateur.
Sur les système *nix actuels, si le compte a un mot de passe vide ça le désactive. Apparemment cette fonction n’est pas implémentée sur MacOS vu qu’on peut le réactiver en lui laissant le mot de passe vide.
OK root est un compte système qu existe quoiqu’il arrive. Mais comment on lui défini un mot de passe ? J’ai Sierra au boulot et Lion à la maison et a aucun moment je paramètré un compte root ou vu un user root quelque part.
Oui et ça c’est la volonté d’Apple.
Sur les système Unix, à l’installation du système il est soit obligatoire de le définir soit ils reprennent celui du premier utilisateur créé.
Là dans MacOS, faut se taper ces étapes qui loin d’être logiques :
https://support.apple.com/fr-fr/HT204012
Ou exécuter cette commande dans un terminal :
sudo passwd root
Voilà pour la légendaire facilité d’utilisation de MacOS.
Le bug n’est que sur High Sierra. Sierra et Lion n’ont pas la faille
Testé et oui ça marche. Apple font vraiment à l’arrache leurs os en ce moment (ios11 et high sierra)
Sinon, même avant ça, c’était pas très compliqué de bypasser le mdp utilisateur d’un mac haha (Une recherche google, 3 lignes de code au démarrage)